CVE-2025-14177 — Fuite de mémoire heap dans PHP getimagesize()

Réservé aux tests de pénétration autorisés et à la recherche en sécurité.

Vulnérabilité

Versions affectées

• PHP < 8.1.34
• PHP < 8.2.30
• PHP < 8.3.29
• PHP < 8.4.16
• PHP < 8.5.1

Corrigé dans

• PHP 8.1.34 / 8.2.30 / 8.3.29 / 8.4.16 / 8.5.1

Mécanisme du bug

getimagesize("php://filter/.../resource=malicious.jpg", $info)
    └─ php_read_stream_all_chunks()
        ├─ Chunk 1 (8KB) → memcpy(buffer+0, chunk1, 8192)
        ├─ Chunk 2 (8KB) → memcpy(buffer+0, chunk2, 8192)  ← overwrites!
        └─ $info['APP1'] = chunk2 + uninitialized heap garbage

Un JPEG malveillant contient un marqueur APP1 surdimensionné (16 Ko) pour forcer le chemin de lecture multi-blocs. Le champ APP1 retourné fuit la mémoire heap qui peut contenir des identifiants, jetons, données de session ou pointeurs ASLR.

Chaîne d'attaque

[1] RECON      Trouver une application PHP exposant la sortie de getimagesize() (champ APP1)
[2] PREP       Préparer un JPEG malveillant (APP1 = 16 Ko)
[3] EXPLOIT    Téléverser → déclencher getimagesize($file, $info)
[4] EXTRACT    Analyser $info['APP1'] pour les données heap divulguées
[5] IMPACT     Vol d'identifiants / extraction de jetons / contournement d'ASLR

Utilisation

python3 CVE-2025-14177.py [mode]

Sortie (./exploit_output/)

exploit_output/
├── malicious.jpg          # fichier JPEG conçu (APP1 = 16 Ko)
├── exploit_standalone.php # exploit PHP déployable
├── exploit_report.json    # rapport d'analyse complet
└── test_cases.json        # 3 scénarios de test

Scénarios de test

Détection

• Marqueurs APP1 volumineux dans les téléversements JPEG (> 8 192 octets)
• Motifs mémoire inhabituels dans le tableau $info
• Appels répétés à getimagesize() avec des wrappers php://filter
• Exfiltration de données encodées en hexadécimal dans les réponses

Correction

Mettre à jour PHP vers la version corrigée. Aucune solution de contournement — correctif requis.

php -v  # verify version

Si la mise à jour est bloquée : supprimer APP1 de $info avant de le renvoyer au client, ou désactiver php://filter dans allow_url_fopen.

Avertissement

Cet outil est uniquement destiné aux tests de sécurité autorisés. Toute utilisation non autorisée contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite est illégale.